개인정보보호위원회(개인정보위)가 PHP 보안 취약점을 악용한 개인정보 유출을 막기 위해 공공기관과 민간기업 등 개인정보처리자에게 보안 조치 강화를 당부했다.
개인정보위는 웹서비스 운영 기관과 기업을 대상으로 PHP 취약점 관련 보안 업데이트와 데이터베이스(DB) 접근통제 등 보호 조치를 신속히 이행해 달라고 22일 밝혔다.
PHP2Shell은 공격자가 별도의 로그인이나 인증 절차 없이 웹서버에서 임의의 악성 명령을 실행할 수 있는 취약점이다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 해당 취약점에 대한 대응 방안을 안내했다.
PHP는 웹서비스 개발과 운영에 널리 사용되는 소프트웨어다. 취약점이 악용되면 웹서버 침해에 그치지 않고, 연계된 DB에 저장된 이용자 개인정보까지 유출될 수 있다.
특히 PHP 기반 DB 관리 도구인 phpMyAdmin 등이 외부에 노출돼 있거나 DB 접근권한이 과도하게 부여된 경우 공격자가 이를 악용해 대량의 개인정보에 접근할 위험이 있다.
개인정보위는 우선 PHP를 사용하는 시스템의 버전을 확인하고 최신 보안패치를 적용해야 한다고 강조했다. 사용하지 않는 웹서비스는 삭제하고, phpMyAdmin 등 DB 관리 도구의 인터넷 직접 접근을 제한하는 한편 관련 소프트웨어를 최신 버전으로 업데이트하도록 했다. 불필요한 설정파일을 정리하고 웹서비스 계정의 개인정보 DB 접근권한도 최소화해야 한다고 당부했다.
개인정보 DB에서 대량 조회나 반출 등 비정상적인 접근이 발생하는지 점검하고, 이상 행위 탐지·차단과 접속기록 관리도 강화해야 한다. 외주 개발·운영 시스템과 수탁업체, 호스팅 환경에서 사용 중인 PHP 소프트웨어도 점검 대상이다.
양청삼 개인정보위 사무처장은 “이번 취약점은 홈페이지 자체의 침해에 그치지 않고, 이와 연결된 데이터베이스에 저장된 다수 이용자의 개인정보가 유출되는 등 대규모 피해로 이어질 우려가 있다”며 “보안 업데이트와 함께 의심스러운 접속 점검 등 관리 체계를 강화해 국민의 개인정보가 유출되지 않도록 각별히 주의해야 한다”고 말했다.
